CVE-2026-121633

ŚrednieCVSS 5.3

Opublikowano: 06/11/2026(UTC)Zaktualizowano: 06/11/2026(UTC)Przetłumaczono: 06/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Order Tracking w wersjach przed 3.6.0 nie weryfikuje, czy powiadomienie o płatności PayPal zostało wysłane na konto sprzedawcy ani czy jego kwota odpowiada sumie zamówienia, przed oznaczeniem zamówienia jako opłaconego. Może to umożliwić nieuwierzytelnionym atakującym oznaczenie dowolnych zamówień jako opłaconych przy użyciu drobnej płatności na własne konto PayPal.

Ocena ryzyka

Atakujący może oznaczyć dowolne zamówienia jako opłacone, powodując straty finansowe i wysyłkę towarów bez płatności. Może to prowadzić do nadużyć i zakłócenia procesu sprzedaży.

Rekomendacja

Zaktualizuj wtyczkę Order Tracking do wersji 3.6.0 lub nowszej. Zweryfikuj dotychczasowe zamówienia pod kątem nieopłaconych płatności.

Inne podatności w Order Tracking

CVE-2026-39602Średnie
Wtyczka Order Tracking dla WordPressa ma brak autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 3.4.3 włącznie.

Oryginalny opis (angielski, źródło NVD)

The Order Tracking WordPress plugin before 3.6.0 does not verify that a PayPal payment notification was sent to the merchant's account, or that its amount matches the order total, before marking an order as paid, which could allow unauthenticated attackers to mark arbitrary orders as paid using a trivial payment to their own PayPal account.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS